JIS Q 27002:2014（情報セキュリティ管理策の実践のための規範）では、運用システムに対する監査活動の影響を最小限にするための管理策及び実施の手引を定めている。その中で守ることが最も望ましいとされている事項はどれか。

選択肢

• ア運用システムに影響を与えないよう、監査におけるテストについては、アクセス監視やログ取得の対象外とする。
• イ運用システムや当該システム上のデータへのアクセスに関する監査要求事項については、当該システムの運用担当者に限定して同意を得る。
• ウ監査におけるテストがシステムの可用性に影響する可能性がある場合は、当該テストを営業時間内に実施する。
• エ監査におけるテストでソフトウェア及びデータにアクセスする場合は、読出し専用のアクセスに限定する。

正解と解説

正解：エ 監査におけるテストでソフトウェア及びデータにアクセスする場合は、読出し専用のアクセスに限定する。

JIS Q 27002は、運用システムに対する監査活動が業務を妨げないよう、監査の範囲と方法を事前に合意し、影響を最小化することを求めている。その中で、ソフトウェアやデータへのアクセスは読出し専用に限定することが望ましいとされている。書込みや変更を許すと監査自体が本番データを毀損しかねず、監査証拠の信頼性も損なわれるためである。

選択肢ごとの解説

• ア監査時のアクセスこそ記録すべきで、監視やログ取得の対象外とするのは不適切である。
• イ監査要求事項の同意は適切な管理層から得るべきで、運用担当者に限定するのは適切でない。
• ウ可用性に影響し得るテストは業務時間外に実施すべきである。
• エ正しい。監査テストでのアクセスは読出し専用に限定することが望ましいとされている。

同じ分野の他の問題

• JIS Q 27002:2024（情報セキュリティ管理策）では、運用システムに対する監査活動の影響を最小限にするための管…2025年度 秋期 午前II 問6
• “政府情報システムのためのセキュリティ評価制度（ISMAP）標準監査手続”における“監査の対象となる期間”の記述のうち、…2023年度 秋期 午前II 問2
• JIS Q 27002:2024（情報セキュリティ管理策）におけるサイバーセキュリティ概念を構成する五つの属性値はどれか…2025年度 秋期 午前II 問18
• JIS X 9251:2021（プライバシー影響評価のためのガイドライン）において、個人識別可能情報の処理に関する潜在的…2025年度 秋期 午前II 問14
• “サイバー情報共有イニシアティブ（J-CSIP）”の説明はどれか。2023年度 秋期 午前II 問18